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LA COMMISSION EUROPEENNE A L’HONNEUR DE SOUMETTRE LES 
PRESENTES OBSERVATIONS ECRITES A LA COUR. 

1. Introduction et resume 

1. Les questions prejudicielles portent sur les pouvoirs et obligations des autorites nationales 
chargees de la protection des donnees dans le cadre de la decision «sphere de securite)) 1 , a 
la suite des revelations d’Edward Snowden sur les programmes de surveillance a grande 
echelle mis en place par les agences americaines de securite nationale. Dans la decision 
«sphere de securite», la Commission europeenne avait constate en 2000 que des 
entreprises americaines ayant declare leur adhesion aux principes relatifs a la protection 
de la vie privee enonces dans ladite decision assuraient un niveau adequat de protection 
des donnees a caractere personnel, de sorte que de telles donnees pouvaient etre 
transferees a ces entreprises conformement a la directive 95/46/CE relative a la protection 
des donnees a caractere personnel. Les programmes de surveillance, dont Texistence a ete 
revelee en 2013 par le lanceur d’alertes Edward Snowden, permettent aux agences 
americaines de securite nationale d’acceder massivement et de maniere non differenciee a 
des donnees a caractere personnel transferees a des entreprises americaines, dont 
Facebook Inc. A la suite de ces revelations, la Commission a entame un reexamen, 
toujours en cours, de la decision «sphere de securite». 

2. Le demandeur a Faction principale, M. Maximilian Schrems, conteste le refits du 
defendeur, a savoir le Data Protection Commissioner (autorite irlandaise chargee de la 
protection des donnees, ci-apres le «Commissioner»), de poursuivre l’examen de la plainte 
dont il 1’ avait saisi concernant le transfert de ses donnees a caractere personnel par 
Facebook Ireland Ltd a Facebook Inc. aux Etats-Unis, une societe ayant autoccrtific son 
adhesion aux principes de la «sphere de securite)). II fait valoir que, du fait des 
programmes de surveillance (dont PRISM), un niveau de protection adequat n’est plus 
garanti, rendant ce transfert illicite. Le Commissioner se dit lie par la constatation 
contraire enoncee par la Commission europeenne dans la decision «sphere de securite». 
La juridiction de renvoi demande en substance si, a la lumiere de la Charte des droits 


1 Decision 2000/520/CE de la Commission du 26 juillet 2000 conformement a la directive 95/46/CE du 
Parlement europeen et du Conseil relative a la pertinence de la protection assuree par les principes de la 
«sphere de securite» et par les questions souvent posees y afferentes, publies par le ministere du commerce 
des Etats-Unis d’Amerique (JO L 215 du 25.8.2000, p. 7). 
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fondamentaux, le Commissioner est effectivement absolument lie par cette constatation ou 
si, dans le cas contraire, il peut et/ou doit mener sa propre enquete en tenant compte des 
revelations faites par Edward Snowden. 

3. La Commission estime que les revelations d’Edward Snowden suscitent, en effet, de 
graves inquietudes en ce qui concerne 1’ application de la decision «sphere de securite». 
Elle a des lors decide d’agir et d’entamer le reexamen de ladite decision, ainsi que sera 
relate plus en detail ci-apres. Toutefois, aux yeux de la Commission, une autorite 
nationale chargee de la protection des donnees est liee par la constatation d’une protection 
adequate faite par la Commission tant que la decision «sphere de securite» elle-meme 
n’autorise pas de decision contraire, conformement a son article 3, paragraphe 1. En vertu 
du point b) de cette disposition, les autorites nationales chargees de la protection des 
donnees peuvent notamment suspendre les flux de donnees vers une organisation 
autocertifiee «dans les cas ou il est fort probable que les principes sont violes; ou il y a 
tout lieu de croire que 1 ’instance d’ application concernee ne prend pas ou ne prendra pas 
en temps voulu les mesures qui s ’imposent en vue de regler 1 ’affaire en question; ou la 
poursuite du transfert ferait courir aux personnes concernees un risque imminent de subir 
des dommages graves; et ou les autorites competences des Etats membres se sont 
raisonnablement efforcees, compte tenu des cir Constances, d’avertir 1 ’organisation et de 
lui donner la possibility de repondre». Cependant, dans des circonstances telles que celles 
de l’affaire dont a ete saisie la juridiction nationale, ces conditions ne sont que 
partiellement remplies. En effet, si, a la lumiere des revelations d’Edward Snowden, il est 
«fort probable que les principes sont violes» et s’il y a bel et bien «tout lieu de croire que 
1 ’instance d’ application concernee ne prend pas ou ne prendra pas en temps voulu les 
mesures qui s ’imposent en vue de regler 1 ’affaire en question», rien n’indique que la 
poursuite du transfert des donnees a caractere personnel du demandeur par Facebook 
Ireland Limited a Facebook Inc. ferait courir «un risque imminent de subir des dommages 
graves» au demandeur. 

2, Le cadre juridique 

4. Le cadre juridique fixe par le droit de l’Union europeenne pertinent en l’espece se 
compose des articles 7, 8 et 47 de la Charte des droits fondamentaux, de Farticle 25 de la 
directive 95/46/CE et de la decision «sphere de securite». 
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2.1. La Charte des droits fondamentaux 

5. L’ article 7 de la Charte est libelle comme suit: 

Respect de la vie privee et familiale 

Toute personne a droit au respect de sa vie privee et familiale, de son domicile et de ses 
communications. 


6. L’ article 8 de la Charte prevoit ce qui suit: 

Protection des donnees a caractere personnel 

1. Toute personne a droit a la protection des donnees a caractere personnel la concernant. 

2. Ces donnees doivent etre traitees loyalement, a des fins determinees et sur la base du 
consentement de la personne concernee ou en vertu d’un autre fondement legitime prevu par la 
loi. Toute personne a le droit d’acceder aux donnees collectees la concernant et d’en obtenir la 
rectification. 

3. Le respect de ces regies est soumis au controle d’une autorite independante. 

7. L’article 47 de la Charte dispose: 

Droit a un recours effectif et a acceder a un tribunal impartial 

Toute personne dont les droits et liberies garantis par le droit de l’Union ont ete violes a droit a 
un recours effectif devant un tribunal dans le respect des conditions prevues au present article. 

Toute personne a droit a ce que sa cause so it entendue equitablement, publiquement et dans un 
delai raisonnable par un tribunal independant et impartial, etabli prealablement par la loi. Toute 
personne a la possibility de se faire conseiller, defendre et representer. 

Une aide juridictionnelle est accordee a ceux qui ne disposent pas de ressources suffisantes, 
dans la mesure ou cette aide serait necessaire pour assurer Teffectivite de faeces a la justice. 


2.2. La directive 95/46/CE 

8. La directive 95/46/CE du Parlement europeen et du Conseil du 24 octobre 1995 relative a 
la protection des personnes physiques a l’egard du traitement des donnees a caractere 
personnel et a la libre circulation de ces donnees (JO L 281 du 23.1 1.1995, p. 31) regit le 
transfert de donnees a caractere personnel a destination de pays tiers. Conformement a son 
article 25, un tel transfert ne peut, en principe, avoir lieu que si le pays tiers en question 
assure un niveau de protection adequat. La Commission peut constater, en vertu de 
l’article 25, paragraphe 6, qu’un pays tiers assure un tel niveau de protection adequat; les 
transferts de donnees a caractere personnel vers ce pays tiers sont des lors autorises sans 
que des garanties supplementaires doivent etre foumies. Les Etats membres sont tenus de 
se conformer a la decision de la Commission en ce qui concerne la reconnaissance du 
niveau de protection offert dans le pays en question (article 25, paragraphe 6, dernier 
alinea). 
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9. L’article 25 de la directive 95/46/CE est redige dans les termes suivants: 

Principes 

1. Les Etats membres prevoient que le transfert vers un pays tiers de donnees a caractere 
personnel faisant l’objet d’lin traitement, ou destinees a faire l’objet d’un traitement apres leur 
transfert, ne peut avoir lieu que si, sous reserve du respect des dispositions nationales prises en 
application des autres dispositions de la presente directive, le pays tiers en question assure un 
niveau de protection adequat. 

2. Le caractere adequat du niveau de protection offert par un pays tiers s’apprecie au regard de 
toutes les circonstances relatives a un transfert ou a une categorie de transferts de donnees; en 
particulier, sont prises en consideration la nature des donnees, la finalite et la duree du ou des 
traitements envisages, les pays d’origine et de destination finale, les regies de droit, generates 
ou sectorielles, en vigueur dans le pays tiers en cause, ainsi que les regies professionnelles et les 
mesures de securite qui y sont respectees. 

3. Les Etats membres et la Commission s’informent mutuellement des cas dans lesquels ils 
estiment qu’un pays tiers n’assure pas un niveau de protection adequat au sens du paragraphe 2. 

4. Lorsque la Commission constate, conformement a la procedure prevue a Larticle 31 
paragraphe 2, qu’un pays tiers n’assure pas un niveau de protection adequat au sens du 
paragraphe 2 du present article, les Etats membres prennent les mesures necessaires en vue 
d’empecher tout transfert de meme nature vers le pays tiers en cause. 

5. La Commission engage, au moment opportun, des negociations en vue de remedier a la 
situation resultant de la constatation faite en application du paragraphe 4. 

6. La Commission peut constater, conformement a la procedure prevue a Larticle 31 paragraphe 
2, qu’un pays tiers assure un niveau de protection adequat au sens du paragraphe 2 du present 
article, en raison de sa legislation interne ou de ses engagements international^, souscrits 
notamment a Tissue des negociations visees au paragraphe 5, en vue de la protection de la vie 
privee et des libertes et droits fondamentaux des personnes. 

Les Etats membres prennent les mesures necessaires pour se conformer a la decision de la 
Commission. 


2.3. La decision 2000/520/CE (decision «sphere de securite») 

10. La decision relative a la sphere de securite est fondee sur l’article 25, paragraphe 6, de la 
directive 95/46/CE. 

1 1 . Conformement a son article l er , la decision «sphere de securite» regit le transfert de 
donnees a caractere personnel au depart de 1 ’Union europeenne vers des organisations 
etablies aux Etats-Unis ayant autocertifie leur adhesion aux principes de la «sphere de 
securite» relatifs a la protection de la vie privee, qui sont enonces a l’annexe I de la 
decision et sont appliques conformement aux orientations fournies par les «questions 
souvent posees» [« Frequently Asked Questions » (FAQ)] publiees par le ministere du 
commerce des Etats-Unis d’Amerique, figurant a l’annexe II de la decision. La decision 
de la Commission reconnait, en son article l er , paragraphe 1, que les principes de 
protection de la vie privee et les FAQ s’y rapportant assurent un niveau adequat de 
protection des donnees a caractere personnel transferees vers des entreprises etablies aux 
Etats-Unis. 
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12. Le quatrieme alinea du preambule aux Principes relatifs a la protection de la vie privee 
publies par le ministere americain du commerce et figurant en annexe I de la decision 
«sphere de securite» est redige comine suit: 

L’adhesion aux principes peut etre limitee par: a) les exigences relatives a la securite nationale, 

Pinteret public et le respect des lois des Etats-Unis; [...] 

13. L’ annexe III de la decision presente une synthese de la rnise en oeuvre des principes 
relatifs a la «sphere de securite». En vertu de l’annexe VII, la Commission federale du 
commerce (. Federal Trade Commission ) et le ministere du transport (. Department of 
Transportation) sont habilites a instruire les plaintes et a obtenir des mesures de 
redressement contre les pratiques deloyales ou frauduleuses ainsi que la reparation des 
prejudices subis par les personnes concernees, quel que soit leur pays de residence ou leur 
nationality, en cas de non-respect des principes mis en oeuvre conformement aux FAQ. 

14. En outre, la decision «sphere de securite» definit et delimite les competences respectives, 
d’une part, de la Commission europeenne et, d’ autre part, des autorites nationales 
chargees de la protection des donnees dans les Etats membres. 

15. Les pouvoirs de la Commission sont evoques au considerant 9 et definis a l’article 4 de la 
decision «sphere de securite». 

16. Le considerant 9 indique ce qui suit: 

La «sphere de securite» creee par les principes et les FAQ peut devoir etre revue a la lumiere de 
1’evolution de la protection de la vie privee, dans des circonstances ou la technologie rend de 
plus en plus faciles le transfert et le traitement de donnees a caractere personnel, ainsi qu’a la 
lumiere de rapports de mise en oeuvre elabores par les autorites competentes. 

17. L’article 4 dispose, dans sa partie pertinente: 


1. La presente decision peut etre adaptee a tout moment a la lumiere de P experience acquise 
durant sa mise en oeuvre et/ou si le niveau de protection assure par les principes et les FAQ est 
depasse par les exigences du droit americain. 

La Commission evalue, en tout etat de cause, 1’ application de la presente decision, sur la base 
des informations disponibles, trois ans apres sa notification aux Etats membres et communique 
au comite institue au title de Particle 31 de la directive 95/46/CE toute constatation pertinente, y 
compris tout element susceptible d’influer sur revaluation selon laquelle les dispositions de 
Particle l er de la presente decision assurent un niveau de protection adequat au sens de 
Particle 25 de la directive 95/46/CE et toute information montrant que la presente decision est 
appliquee de maniere discriminatoire. 

2. La Commission presente, si necessaire, un projet des mesures a prendre conformement a la 
procedure visee a Particle 31 de la directive 95/46/CE. 
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18. Les pouvoirs des autorites nationales chargees de la protection des donnees sont evoques 
au considerant 8 et etablis a 1’ article 3, paragraphe 1, de la decision «sphere de securite». 

19. Le considerant 8 est redige en ces termes: 

Dans un souci de transparence et en vue de permettre aux autorites competentes des Etats 
membres d’assurer la protection des individus en ce qui concerne le traitement des donnees a 
caractere personnel, il est necessaire d’indiquer dans la decision dans quelles circonstances 
exceptionnelles la suspension de certains flux de donnees peut etre justifiee, meme si le niveau 
de protection fourni a ete juge adequat. 

20. L’article 3, paragraphe 1, dispose, dans sa partie pertinente: 

1. Sans prejudice de leurs pouvoirs de prendre des mesures visant a assurer le respect des 
dispositions nationales adoptees en application de dispositions autres que celles de Particle 25 
de la directive 95/46/CE, les autorites competentes des Etats membres peuvent exercer les 
pouvoirs dont elles disposent pour suspendre les flux de donnees vers une organisation adherant 
aux principes mis en oeuvre conformement aux FAQ afin de proteger les individus en ce qui 
conceme le traitement de leurs donnees personnelles, et ce dans les cas: 

a) [...] ou 

b) ou il est fort probable que les principes sont violes; oil il y a tout lieu de croire que P instance 
d’application concernee ne prend pas ou ne prendra pas en temps voulu les mesures qui 
s’imposent en vue de regler Paffaire en question; oil la poursuite du transfert ferait courir aux 
personnes concernees un risque imminent de subir des dommages graves; et oil les autorites 
competentes des Etats membres se sont raisonnablement efforcees, compte tenu des 
circonstances, d’avertir Porganisation et de lui donner la possibility de repondre. 

La suspension cesse des que le respect des principes mis en oeuvre conformement aux FAQ est 
assure et que les autorites competentes de la Communaute en sont avisees. 

21. En outre, l’article 3, paragraphe 2, impose expressement aux Etats membres d’ informer 
sans tarder la Commission de l’adoption de mesures fondees sur le paragraphe 1. 


3. La plainte dans le litige au principal et les questions prejudicielles 

22. Le demandeur, de nationality autrichienne, conteste une decision du defendeur, le 
Commissioner, de ne pas poursuivre l’examen au fond de la plainte qu’il a introduite a la 
suite des revelations, en juin 2013, relatives a la surveillance generalisee des donnees 
internet et des telecommunications par les agences americaines de securite nationale (ci- 
apres les «revelations d’Edward Snowden»). Le demandeur est un utilisateur du service de 
reseau social «Facebook», exploite par Facebook Ireland Ltd, depuis 2008. Facebook 
Ireland Ltd transfere tout ou partie des donnees de ses clients a sa societe mere Facebook 
Inc., implantee aux Etats-Unis, laquelle a auto cert i lie son adhesion aux principes de la 
sphere de securite. Dans la plainte dont il a saisi le defendeur, M. Schrems alleguait, en 
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substance, qu’au vu des revelations d’Edward Snowden, le droit et les pratiques des Etats- 
Unis ne protegeaient pas efficacement les donnees transferees par la societe Facebook 
Ireland a sa societe mere americaine en ce qui concerne la surveillance par l’etat. II ne 
faisait pas etat de consequences particulieres de cette surveillance a grande echelle en ce 
qui le concerne personnellement. 

23. Lors de son examen de la plainte, le Commissioner n’a releve aucune preuve attestant que 
les donnees a caractere personnel de M. Schrems avaient ete divulguees aux Etats-Unis 
{locus standi objection / defaut d’interet a agir). Le Commissioner a par ailleurs estime 
que la decision «sphere de securite» de la Commission europeenne l’empechait 
d’ examiner la question du respect des normes de protection des donnees par les Etats- 
Unis. 

24. La High Court, apres avoir rejete l’argument de locus standi objection, a constate que le 
Commissioner avait «jait preuve d’une fidelite scrupuleuse a la lettre de la directive de 
1995 et de la decision “sphere de securite”» et a souligne que ni la validite de la directive 
95/46/CE ni celle de la decision n’avaient ete contestees. Selon la juridiction de renvoi, 
Earticle3, paragraphe 1, point b), de la decision «sphere de securite» n’etait pas 
applicable en l’espece, la plainte n’etant pas dirigee contre le comportement de Facebook 
en tant que tel . Les questions et doutes formulees par la juridiction de renvoi quant a 
l’approche adoptee par le Commissioner decoulent des evolutions intervenues pendant les 
quatorze annees qui se sont ecoulees depuis l’adoption de la decision «sphere de securite», 
a savoir les avancees technologiques, les revelations d’Edward Snowden et, depuis 2009, 
le caractere contraignant de la Charte des droits fondamentaux de 1 ’Union europeenne, 
notamment ses articles 7, 8 et 47. 

25. En outre, la juridiction de renvoi declarait que «si cette affaire devait etre tranchee 
uniquement au regard des exigences constitutionnelles irlandaises, en concluant 
sommairement qu’il n’y avait pas lieu d’enqueter, le Commissioner n’aurait pas exerce 
correctement les pouvoirs que lui confere V article 10, paragraphe 1, sous a)» . Ainsi 
qu’elle le relevait, en vertu du droit irlandais, «/’ interception ou la surveillance de 

2 Voir le point 19 de l’ordonnance de renvoi. 

3 Voir le point 15 de l’ordonnance de renvoi. 
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communications privees par les autorites met en cause le droit constitutionnel a la vie 
privee. En outre, les autorites qui interceptent ou surveillent des communications privees 
generees au domicile [...] portent aussi clairement atteinte a I’inviolabilite du domicile 
garantie par V article 40, paragraphe 5, de la Constitution » 4 . Toutefois, la question etant 
regie par la legislation de l’Union, qui prime le droit irlandais, la juridiction de renvoi a 
decide de saisir la CJUE d’une demande de decision prejudicielle. 

26. La High Court a done sursis a statuer et pose les questions prejudicielles suivantes: 

«Eu egard aux articles 7, 8 et 47 de la Charte des droits fondamentaux de l’Union 
europeenne [2000(C) 364/01] et sans prejudice des dispositions de l’article 25, 
paragraphe 6, de la directive 95/46/CE, le Commissaire independant charge 
d’appliquer la legislation sur la protection des donnees saisi d’une plainte relative 
au transfert de donnees a caractere personnel vers un pays tiers (en l’occurrence 
les Etats-Unis d’Amerique) dont le plaignant soutient que le droit et les pratiques 
n’offriraient pas des protections adequates a la personne concemee est-il 
absolument lie par la constatation contraire de l’Union contenue dans la decision 
de la Commission du 26 juillet 2000 (2000/520/CE)? Dans le cas contraire, peut-il 
ou doit-il mener sa propre enquete en s’instruisant de la maniere dont les faits ont 
evolue depuis la premiere publication de la decision de la Commission?)) 

4. La reaction de la Commission europeenne aux allegations d’Edward 
Snowden 

27. Depuis juin 2013, l’existence de plusieurs programmes de surveillance americains 
reposant sur la collecte et le traitement a grande echelle de donnees a caractere personnel a 
ete revelee. Ces programmes concernent plus particulierement la collecte de donnees a 
caractere personnel aupres de fournisseurs americains de services internet et de 
telecommunications, ainsi que le controle de flux de donnees, a l’interieur et en dehors des 
frontieres des Etats-Unis. Compte tenu de la position centrale que ces societes americaines 
occupent sur le marche europeen, de la transmission transatlantique d’une grande partie 
des flux electroniques de donnees et des communications, ainsi que des volumes de 
donnees transitant par l’Atlantique, un tres grand nombre de citoyens europeens - et tres 


4 


Voir le point 9 de l’ordonnance de renvoi. 
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probablement la totalite des utilisateurs de l’internet en Europe - sont susceptibles d’etre 
touches par ces programmes. 

28. A la suite de ces revelations, la Commission a immediatement fait part de vives 
preoccupations et a demande des explications aux Etats-Unis, a la fois oralement et par 
ecrit, quant a l’incidence de ces programmes sur les droits fondamentaux des citoyens de 
1’ Union, en particulier leurs droits au respect de la vie privee et a la protection des 
donnees a caractere personnel. Un groupe de travail ad hoc UE/Etats-Unis sur la 
protection des donnees 5 a notamment ete mis sur pied, en juillet 2013, pour etablir les faits 
entourant ces revelations. II a publie son rapport le 27 novembre 2013 (annexe 1). 6 Les 
Etats-Unis ont continue qu’en vertu de la section 702 de la loi de 1978 sur la surveillance 
des services de renseignement etrangers ( Foreign Intelligence Surveillance Act ou FISA), 
la NSA (l’agence americaine de securite nationale) dispose d’une base de donnees 
baptisee «PRISM», qui permet de collecter des donnees stockees par voie electronique. 7 8 
Les autorites americaines ont egalement confirme que cette meme section 702 etait la base 
juridique du systeme dit de la «collecte en amont» ( upstream collection), a savoir 
1’ interception des communications internet par la NSA a leur entree ou pendant leur 
passage sur le territoire americain (par exemple, par le reseau cable, a certains points des 
transmissions). Elies ont en outre indique que l’Executive Order 12333 constituait aussi 
une base juridique pour d’autres programmes de surveillance visant la collecte massive de 
donnees provenant de l’internet, ainsi que le cadre general pour la collecte de 
renseignements a l’interieur et en dehors des frontieres des Etats-Unis . 


5 Ce groupe, preside conjointement par la Commission et la presidence du Conseil, rassemblait notamment 
des membres du SEAE, des experts des Etats membres et des representants des autorites gouvernementales 
americaines. 

6 Report of the Findings by the EU Co-Chairs of the Ad Hoc EU-US Working Group on Data Protection (en 
anglais uniquement): http://ec.europa.eu/iustice/data-protection/files/report-findings-of-the-ad-hoc-eu-us- 
working-group-on-data-protection.pdf 

7 Voir le point 2.1.1 du rapport du groupe de travail ad hoc UE/Etats-Unis. Le programme PRISM permet de 
collecter des donnees stockees sous forme electronique, y compris du contenu, au moyen de directives 
adressees aux principaux fournisseurs de services internet et entreprises technologiques americains 
proposant des services en ligne, dont - selon ce qui ressort des documents classifies divulgues dans la 
presse, sans confirmation de la part des autorites americaines - Microsoft, Y ahoo, Google, Facebook, 
PalTalk, AOL, Apple, Skype et YouTube. 

8 Voir le point 2.3 du rapport du groupe de travail ad hoc UE/Etats-Unis. 
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29. A la meme date, la Commission a publie deux communications: la premiere evaluait le 
fonctionnement de la sphere de securite 9 (annexe 2) et la seconde cnoncait une serie de 
mesures a prendre en vue de retablir la conliancc dans les flux de donnees entre l’Union 
europeenne et les Etats-Unis 10 (annexe 3). La communication sur le fonctionnement de la 
sphere de securite comportait treize recommandations a 1’ intention des Etats-Unis visant a 
renforcer le regime de la sphere de securite a la lumiere des evolutions intervenues depuis 
son adoption. Les onze premieres recommandations portent sur des obligations 
fondamentales de la sphere de securite et s’articulent autour des trois axes suivants: 
transparence, recours et mise en oeuvre. Les deux dernieres portent sur la necessity de 
regler la question de l’acces, par les autorites americaines, aux donnees de la sphere de 
securite a des fins de securite nationale, en particulier dans le contexte de la derogation 
pour des raisons de securite nationale, prevue par les dispositions actuelles relatives a la 
sphere de securite. La douzieme recommandation est libellee comme suit: «Les politiques 
de protection de la vie privee adoptees par les entreprises autocertifiees doivent 
comporter des informations sur la mesure dans laquelle la legislation des Etats-Unis 
permet aux autorites publiques de collecter et de traiter des donnees transferees selon les 
principes de la sphere de securite. En particulier, les entreprises devraient etre 
encouragees a indiquer, dans leurs politiques de protection de la vie privee, si elles 
derogent auxdits principes pour repondre a des exigences relatives a la securite 
nationale, a I’interet public ou au respect des lois.» La treizieme recommandation 
mentionne: «// importe que la derogation pour raison de securite nationale prevue par la 
decision relative a la sphere de securite ne soit utilisee que dans la mesure ou cela est 
strictement necessaire et proportionne.» 

30. Dans sa communication visant a retablir la confiance dans les flux de donnees entre 
l’Union et les Etats-Unis, la Commission presentait trois options envisageables pour la 

9 Communication de la Commission au Parlement europeen et au Conseil relative au fonctionnement de la 
sphere de securite du point de vue des citoyens de 1’ Union et des entreprises etablies sur son territoire 
[COM(20 13) 847 du 27.11.2013], 

10 Communication de la Commission au Parlement europeen et au Conseil, Retablir la confiance dans les flux 
de donnees entre l’Union europeenne et les Etats-Unis d’Amerique [COM(2013)846 du 27.11.2013]. Les 
principals mesures preconisees sont les suivantes: 1) adopter rapidement la reforme des regies de l’Union 
en matiere de protection des donnees, 2) rendre la sphere de securite plus sure, 3) renforcer les garanties en 
matiere de protection des donnees dans le cadre de la cooperation entre les services repressifs (accord- 
cadre), 4) recourir aux accords sectoriels et d’entraide judiciaire pour obtenir des donnees, 5) repondre aux 
preoccupations europeennes dans le cadre de la reforme en corns aux Etats-Unis sur les activites de 
renseignement et 6) promouvoir des normes de protection de la vie privee au niveau international. 

11 COM(2013) 847, p. 23. 
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sphere de securite: 1) le maintien du statu quo, 2) le renforcement de la sphere de securite 
et la revision approfondie de son fonctionnement ou 3) la suspension ou l’abrogation de la 
decision relative a la sphere de securite. La Commission participe activement a des 
discussions avec les autorites americaines sur la mise en oeuvre, par les Etats-Unis, des 
treize recommandations figurant dans la communication. Les questions en cause etant 
particulierement sensibles et complexes, ces echanges sont toujours en cours. 

5. Analyse juridique 

5.1. Observations generates 

31. Conformement a l’article 25, paragraphed, dernier alinea, de la directive 95/46/CE, les 
decisions constatant le caractere adequat de la protection offerte sont, en principe, 
contraignantes pour tous les Etats membres. L’article 3, paragraphe 1, point b), de la 
decision «sphere de securite» autorise les autorites nationales de protection des donnees a 
suspendre les flux de donnees vers les Etats-Unis sous certaines conditions. II s’agit la 
d’une exception au principe de 1’ application uniforme de la decision de la Commission 
constatant un niveau adequat de protection, qu’il convient des lors, en principe, 
d’interpreter de maniere restrictive. Dans le meme temps, elle doit etre interpretee a la 
lumiere de la Charte, en particulier de ses articles 7 et 8. 

32. En outre, aux fins de E interpretation de l’article 3, paragraphe 1, point b), il importe de 
tenir compte de 1’ articulation des pouvoirs respectifs de la Commission et des autorites 
nationales de protection des donnees. Concretement, cornme explique plus en detail ci- 
apres, les competences des autorites nationales chargees de la protection des donnees sont 
centrees sur l’application de la legislation en cette matiere dans des cas individuels, tandis 
que le reexamen general de l’application de la decision «sphere de securite», y compris 
toute decision comportant sa suspension ou son abrogation, releve de la competence de la 
Commission. 

5.2. Les conditions de 1’article 3, paragraphe 1, point b), de la decision «sphere de 
securite» ne sont que partiellement remplies 

33. L’article 3, paragraphe 1, point b), de la decision «sphere de securite» fixe quatre 
conditions qui doivent toutes etre remplies pour que les autorites chargees de la protection 
des donnees puissent decider de suspendre certains flux de donnees. 
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5.2.1. Premiere condition: il est fort probable que les principes sont violes 

34. De l’avis de la Commission, une forte probability que les principes de la sphere de 
securite ont ete violes existe bel et bien. Le caractere indifferencie et 1’ application a tres 
grande echelle des programmes de surveillance americains sont effectivement 
incompatibles avec 1’ exemption strictement circonscrite a des besoins de security 
nationale que prevoient les principes de la sphere de security, au quatrieme alinea du 
preambule aux principes relatifs a la protection de la vie privee. 

35. Cette conclusion resulte d’une interpretation de la decision «sphere de securite» a la 
lumiere de la Charte des droits fondamentaux et de la jurisprudence pertinente de la Cour. 
En vertu de l’article 52, paragraphe 1, de la Charte, «[t]oute limitation de l’exercice des 
droits et des libertes reconnus par la presente Charte doit etre prevue par la loi et 
respecter le contenu essentiel desdits droits et libertes. Dans le respect du principe de 
proportionnalite, des limitations ne peuvent etre apportees que si elles sont necessaires et 
repondent effectivement a des objectifs d’interet general reconnus par 1 ’Union ou au 
besoin de protection des droits et libertes d’autrui.» De meme, aux termes de la 
Convention europeenne des droits de rhomme,«[/]/ ne peut y avoir ingerence d’une 
autorite publique dans 1 ’exercice de ce droit» au respect de la vie privee et familiale, qui 
inclut le droit a la protection des donnees, «que pour autant que cette ingerence est prevue 
par la loi et qu ’elle constitue une mesure qui, dans une societe democratique, est 
necessaire a la securite nationale a la surete publique, au bien-etre economique du pays, 
a la defense de 1 ’ordre et a la prevention des infractions penales, a la protection de la 
sante ou de la morale, ou a la protection des droits et libertes d’autrui» (article 8, 
paragraphe 2). Conformement a la jurisprudence de la Cour sur le droit au respect de la 
vie privee: 

«[...] la protection de ce droit fondamental exige, selon la jurisprudence constante de la 
Cour, en tout etat de cause, que les derogations a la protection des donnees a caractere 
personnel et les limitations de celle-ci doivent s ’operer dans les limites du strict 

r ■ 12 

necessaire» . 
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Arret Digital Rights Ireland, 0293/12, EU:C:2014:238, point 52. 
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36. Par consequent, la decision «sphere de securite», qui precise que ces restrictions ne sont 
autorisees que pour repondre a des exigences relatives a la securite nationale, l’interet 
public et le respect des lois, doit etre interpretee de maniere stride. 

37. Ainsi que la Cour l’a declare a plusieurs reprises, l’exception prevue a Particle 4, 
paragraphe 2, TUE, selon laquelle la securite nationale reste de la seule responsabilite de 
chaque Etat membre, ne saurait entrainer l’inapplicabilite du droit de l’Union (arret ZZ 
contre Secretary of State for the Home Department, C-300/1 1, point 38 ). Par ailleurs, la 
Cour a egalement estime que les limitations visees a Particle 52, paragraphe 1, de la 
Charte des droits fondamentaux s’appliquaient egalement dans ce domaine du droit; voir, 
par exemple, les points 49 et 5 1 de P arret ZZ /Secretary of State for the Home Department 
(C-300/1 1): 

«Ce n ’est qu ’a titre de derogation que 1 ’article 30, paragraphe 2, de la directive 2004/38 
autorise les Etats membres a limiter l ’information transmise a l ’interesse pour des motifs 
relevant de la surete de l ’Etat. En tant que derogation a la regie enoncee au point 
precedent, cette disposition doit faire I’objet d’une interpretation stride sans toutefois 
priver celle-ci de son effet utile. [...] Notamment, il convient de prendre en consideration 
que, si, certes, l ’article 52, paragraphe 1, de la Charte admet des limitations a l ’exercice 
des droits consacres par celle-ci, cette disposition exige toutefois que toute limitation doit 
notamment respecter le contenu essentiel du droit fondamental en cause et requiert, en 
outre, que, dans le respect du principe de proportionnalite, toute limitation soit necessaire 
et reponde effectivement a des objectifs d’interet general reconnus par l’ Union . » 

38. Ce raisonnement est d’autant plus valable que Pespece concerne l’application d’une 
exemption pour des raisons de securite nationale en faveur d’un pays tiers, en 
Poccurrence les Etats-Unis, qui fait l’objet d’une decision de la Commission europeenne. 
La presente affaire ne porte done pas sur le role des Etats membres dans la sauvegarde de 
leur securite nationale. 

39. L’arret rendu par la Cour dans P affaire Digital Rights Ireland (C-293/12) est aussi 
pertinent dans ce contexte, et notamment son point 37: 
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EU:C:2013:363. 
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«Force est de constater que I’ingerence que comporte la directive 2006/24 dans les droits 
fondamentaux consacres aux articles 7 et 8 de la Charte s ’avere, ainsi que l ’a egalement 
releve M. Vavocat general notamment aux points 77 et 80 de ses conclusions, d’une vaste 
ampleur et qu ’elle doit etre consideree comme particulierement grave. En outre, la 
circonstance que la conservation des donnees et l ’utilisation ulterieure de celles-ci sont 
effectuees sans que l ’abonne ou l ’utilisateur inscrit en soient informes est susceptible de 
generer dans l ’esprit des personnes concernees, ainsi que l ’a releve M. I ’avocat general 
aux points 52 et 72 de ses conclusions, le sentiment que leur vie privee fait I’objet d’une 
surveillance constante. » 

40. En outre, par analogic dans le contexte particulier de l’application du droit penal, au 
point 5 1 du meme arret, la Cour a dit pour droit que: 

«la lutte contre la criminalite grave, notamment contre la criminalite organisee et le 
terrorisme, est d’une importance primordiale pour garantir la securite publique et son 
efficacite peut dependre dans une large mesure de l ’utilisation des techniques modernes 
d’enquete. Toutefois, un tel objectif d’ inter et general, pour fondamental qu’il soit, ne 
saurait a lui seul justifier qu ’une mesure de conservation telle que celle instauree par la 
directive 2006/24 soit consideree comme necessaire aux fins de ladite lutte». 

41. Dans ces circonstances, la Cour a considere qu’il y avait eu une violation manifeste du 
principe de proportionnalite et, partant, une ingerence illegale dans le droit a la protection 
des donnees a caractere personnel, dans la mesure ou: 

a) la conservation de donnees a caractere personnel concerne de maniere globale 
1’ ensemble des personnes faisant usage de services de communications electroniques, sans 
toutefois que les personnes dont les donnees sont conservees se trouvent, meme 
indirectement, dans une situation susceptible de donner lieu a des poursuites penales 
(point 58); 

b) la directive ne requiert aucune relation entre les donnees dont la conservation est 
prevue et une menace pour la securite publique et, notamment, elle n’est pas limitee a une 
conservation portant soit sur des donnees afferentes a une periode temporelle et/ou une 
zone geographique determinee et/ou sur un cercle de personnes donnees susceptibles 
d’etre melees d’une maniere ou d’une autre a une infraction grave, soit sur des personnes 
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qui pourraient, pour d’autres motifs, contribuer, par la conservation de leurs donnees, a la 
prevention, a la detection ou a la poursuite d’infractions graves (point 59); 

c) a cette absence generale de limites s’ajoute le fait que la directive 2006/24 ne prevoit 
aucun critere objectif permettant de delimiter faeces des autorites nationales competentes 
aux donnees et leur utilisation ulterieure a des fins de prevention, de detection ou de 
poursuites penales concemant des infractions pouvant, au regard de l’ampleur et de la 
gravite de 1’ ingerence dans les droits fondamentaux consacres aux articles 7 et 8 de la 
Charte, etre considerees comine suffisamment graves pour justifier une telle ingerence 
(point 60). 

42. Les revelations d’Edward Snowden sur la surveillance a grande echelle (dont la veracite et 
la gravite ont ete reconnues par la juridiction de renvoi), la parution dans la presse d’une 
serie de documents officiels, y compris de documents classifies, dont un certain nombre 
ont par la suite ete declassifies et rendus publics par les autorites americaines, ainsi que les 
conclusions du groupe de travail ad hoc UE/Etats-Unis mettent en evidence une 
surveillance generalisee d’une ampleur qui, pour reprendre les tennes de la juridiction de 
renvoi elle-meme, «temoigne d’une ingerence massive de la part des autorites chargees 
de la securite, avec une indifference quasi deliberee a l ’egard de la vie privee des citoyens 
ordinaires, qui ont fait I’objet d’atteintes graves a leurs droits a la protection des donnees 
par des programmes de surveillance a grande echelle, en grande partie non 
supervisee^ . Les programmes de surveillance ne comportent aucune limitation quant aux 
personnes concernees ou au type de donnees a caractere personnel collectees. Du fait de 
l’ampleur de ces programmes, il est effectivement possible que les autorites americaines 
aient acces a des donnees transferees dans le cadre de la sphere de securite et les 
soumettent eventuellement a un traitement ulterieur, au-dela de ce qui est strictement 
necessaire et proportionne pour la sauvegarde de la securite nationale, comine le requiert 
1’ exception prevue par la decision «sphere de securite». 
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Arret de la High Court du 18 juin 2014, Schrems/Data Protection Commissioner [2014] IECCA 68, point 8. 
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43. En outre, Facebook a autocertifie son adhesion aux principes de la sphere de securite et 
elle est concernee par le programme PRISM 15 . Dans ce contexte - contrairement a l’avis 
de la juridiction de renvoi 16 il importe peu de savoir si Facebook Inc. a elle-meme 
(directement ou sciemment) enfreint les principes en vigueur. Au regard de la protection 
des droits des personnes concernees de l’Union, le seul aspect pertinent est de determiner 
si le niveau de protection qu’un constat d’ adequation est cense garantir a ete compromis, 
independamment de savoir si cette situation est le fait d’une entreprise ou d’une autorite 
publique. 

44. A la lumiere de ces faits, on doit constater qu’une forte probability existe que l’adhesion 
aux principes de la sphere de securite a ete limitee d’une maniere qui ne repond plus aux 
conditions strictement circonscrites de F exemption prevue en matiere de securite 
nationale. Les revelations en question font apparaitre un degre de surveillance 
indifferenciee a grande echelle qui n’est pas compatible avec le critere de necessity prevu 
dans cette exemption ni, de maniere plus generale, avec le droit a la protection des 
donnees a caractere personnel consacre a l’article 8 de la Charte. 

45. En consequence, compte tenu de ce qui precede et eu egard a la nature et a l’ampleur des 
programmes de surveillance en cause, il est fort probable que les principes enonces dans la 
decision «sphere de securite» ont ete violes dans des circonstances telles que celles 
decrites dans 1’ affaire au principal. 

5.2.2. Deuxieme condition: il y a tout lieu de croire que l’instance d’application 
concernee ne prend pas ou ne prendra pas en temps voulu les mesures qui 
s’imposent en vue de regler F affaire en question 

46. La deuxieme condition enoncee a Farticle 3, paragraphe 1, point b), de la decision «sphere 
de securite» requiert qu’il y ait tout lieu de croire que Finstance d’application concernee 


15 Voir le point 2.1.1 du rapport du groupe de travail ad hoc UE/Etats-Unis. Le programme PRISM permet de 
collecter des donnees stockees sous forme electronique, y compris du contenu, au moyen de directives 
adressees aux principaux fournisseurs de services internet et entreprises technologiques americains 
proposant des services en ligne, dont - selon ce qui ressort des documents classifies divulgues dans la 
presse, sans confirmation de la part des autorites americaines - Microsoft, Y ahoo, Google, Facebook, 
PalTalk, AOL, Apple, Skype et YouTube: http://ec.europa.eu/justice/data-protection/files/report-findings-of- 
the-ad-hoc-eu-us-working-group-on-data-protection.pdf. 
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Voir ci-dessus au point 23. 
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ne prend pas ou ne prendra pas en temps voulu les mesures qui s’imposent en vue de 
regler 1’ affaire en question. 

47. Le controle de [’application de la decision «sphere de securite » incombe principalement a 
la Commission federale du commerce des Etats-Unis (US Federal Trade Commission). 
Toutefois, l’instance d’application de la sphere de securite n’a pas le pouvoir d’intervenir 
a l’egard des programmes de surveillance en general et, en particulier, pour determiner si 
la condition de necessity prevue par l’exemption est respectee. Le champ d’application des 
programmes de surveillance et les conditions dans lesquelles ils sont mis en oeuvre sont 
fixes par les agences americaines de securite nationale, sous 1’ autorite du directeur des 
services nationaux de renseignement; seuls certains programmes sont soumis au controle 
juridictionnel du US Foreign Intelligence Surveillance Court (cour federale de 
surveillance des services de renseignement etrangers, FISC). II convient de rappeler que 
les procedures devant le FISC ne sont pas contradictoires et que les personnes concernees 
ne peuvent se faire representer devant lui pour defendre leurs interets lors de l’examen 
d’une demande d’injonction 17 . II resulte de ce qui precede que l’instance d’application 
n’est pas en mesure de prendre en temps voulu les mesures adequates pour regler les 
questions liees a la surveillance eventuelle des donnees a caractere personnel du plaignant 
figurant sur Facebook par les programmes de surveillance des agences americaines de 
securite nationale. 

48. Par consequent, il y a tout lieu de croire que l’instance d’application concemee ne prend 
pas ou ne prendra pas en temps voulu les mesures qui s’imposent en vue de regler l’affaire 
en question dans la situation en cause dans l’affaire au principal. 

5.2.3. Troisieme condition: la poursuite du transfert ferait courir aux personnes 
concernees un risque imminent de subir des dommages graves 

49. En vertu de la troisieme condition enoncee a 1’ article 3, paragraphe 1, point b), de la 
decision «sphere de securite», la poursuite du transfert des donnees a caractere personnel 
doit faire courir aux personnes concernees un risque imminent de dommages graves. 
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Voir le rapport du groupe de travail ad hoc UE-Etats-Unis sur la protection des donnees (point 4.3). 
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50. II convient, pour interpreter cette condition, d’ avoir a 1’ esprit les observations generates 
fonnulees ci-dessus concernant 1’ interpretation de 1’ article 3, paragraphe 1, point b). 
Puisqu’elle constitue une exception au principe de l’application uniforme de la decision de 
la Commission constatant un niveau adequat de protection, cette disposition doit, en 
principe, etre interpretee de maniere restrictive. En outre, comme il a deja ete observe, il 
importe de tenir compte, pour interpreter Particle 3, paragraphe 1, point b), de 
1’ articulation des pouvoirs respectifs de la Commission et des autorites nationales de 
protection des donnees. Notamment, les competences des autorites nationales chargees de 
la protection des donnees sont centrees sur l’application de la legislation en cette matiere 
dans des cas individuels, tandis que le reexamen general de l’application de la decision 
«sphere de securite», y compris toute decision prevoyant sa suspension ou son abrogation, 
releve de la competence de la Commission. Il en resulte, en particulier, que les conditions 
enoncees a Particle 3, paragraphe 1, point b), doivent etre remplies dans les circonstances 
specifiques en cause, ainsi que le mentionne le considerate 8 de la decision «sphere de 
securite» ( «suspension de certains flux de donneesn). 

5 1 . A cet egard, il y a lieu de souligner que la notion de «dommages graves» designe un 
niveau de dommage ou de prejudice plus eleve que la simple violation du droit a la 
protection des donnees a caractere personnel. La formulation de la disposition indique 
qu’il doit s’agir d’un prejudice caracterise. De plus, une lecture combinee de la premiere 
condition en liaison avec la troisieme montre bien qu’une simple violation du droit a la 
protection des donnees a caractere personnel ne suffirait pas car, dans le cas contraire, la 
troisieme condition serait superfetatoire. 

52. Ensuite, l’existence d’un risque imminent de dommages graves doit etre appreciee d’apres 
la situation concrete du ou des plaignants. Ainsi qu’il a ete expose ci-dessus, les 
conditions de Particle 3, paragraphe 1, point b), doivent etre reunies dans le cas d’espece. 
Or, le plaignant n’a pas avance d’arguments specifiques donnant a penser qu’il courrait un 
risque imminent de subir des dommages graves. Au contraire, en raison de leur nature 
abstraite et generate, les inquietudes exprimees par M. Schrems a propos des programmes 
de surveillance mis en oeuvre par les agences americaines de securite nationale sont tout a 
fait identiques a celles qui ont conduit la Commission a entamer le reexamen de la 
decision «sphere de securite». Les autorites nationales de protection des donnees 
empieteraient sur les competences dont dispose la Commission pour renegocier les 
conditions de ladite decision avec les Etats-Unis ou, au besoin, suspendre celle-ci si elles 



21 


prenaient des mesures sur la base de plaintes faisant uniquement etat de preoccupations 
structurelles et abstraites. 

Cela dit, la Commission n’exclut pas que, dans d’autres cas particuliers, lorsqu’un risque 
imminent de dommages graves pour les plaignants est demontre, les autorites nationales 
de protection des donnees puissent agir. 

5.2.4. Quatrieme condition: les autorites competentes des Etats membres se sont 
raisonnablement efforcees, compte tenu des circonstances, d’avertir 
1’ organisation et de lui donner la possibility de repondre 

53. Comine la troisieme condition de l’article 3, paragraphe 1, point b), n’est pas remplie, il 
n’est en principe pas necessaire d’examiner la quatrieme condition. Toutefois, si la Cour 
aboutissait a une autre conclusion relativement a la troisieme condition, la Commission 
tient a faire observer que le Commissioner avait bel et bien souleve les allegations 
concemant le programme PRISM aupres de Facebook Ireland, avant meme d’etre saisi de 
la plainte de M. Schrems, et s’etait declare satisfait des reponses fournies, notamment que 
l’entreprise «avait mis en place des procedures appropriees pour le traitement des 
demandes d’acces adressees par les agences chargees de la securite en genera l» 
[appendice 1, observations presentees par le defendeur (Commissioner), point 66]. On 
pourrait en cone lure que la quatrieme condition est remplie. Toutefois, la Commission 
constate egalement que ces discussions avec T organisation concemee ne suffisent peut- 
etre pas pour remedier aux problemes poses par Faeces a des donnees a caractere 
personnel par des agences americaines de securite nationale, ce qui conforte la 
Commission dans son idee que la meilleure maniere de proceder en la matiere passe par le 
reexamen, par la Commission, de la decision «sphere de securite». 


5.3. L’autorite de protection des donnees n’a pas de pouvoir d’enquete 

54. Si, comine dans des circonstances telles que cedes de l’affaire au principal, les conditions 
cumulatives de l’article 3, paragraphe 1, point b), ne sont pas reunies, l’autorite chargee de 
la protection des donnees n’a pas le pouvoir de poursuivre l’examen de la plainte en 
question. Elle est au contraire liee par la constatation du caractere adequat du niveau de 
protection fait par la Commission dans la decision «sphere de securite». Ceci dit, la 
Commission n’exclut pas que, dans d’autres cas particuliers, lorsqu’un risque imminent de 



22 


dommages graves pour les plaignants est demontre, les autorites nationales chargees de la 
protection des donnees puissent agir. 


6. Conclusion 

55. Eu egard aux considerations qui precedent, la Commission a l’honneur de proposer a la 
Cour de repondre comine suit aux questions prejudicielles dont elle a ete saisie par la High 
Court d’lrlande: 

Dans des circonstances telles que celles de l’affaire au principal, E autorite de protection 
des donnees est liee par la constatation du caractere adequat du niveau de protection fait 
par la Commission dans la decision 2000/520/CE (decision «sphere de securite»). 


Ben Smulders Bemd Martenczuk Julie Vondung 


Agents de la Commission 



23 


Bordereau des annexes 


Annexe 1: 


Report of the Findings by the EU Co-Chairs of the Ad Hoc EU-US Working Group on Data 
Protection (en anglais uniquement), cite au point 28 des presentes observations 


Annexe 2: 


Communication de la Commission au Parlement europeen et au Conseil relative au 
fonctionnement de la sphere de securite du point de vue des citoyens de l’Union et des 
entreprises etablies sur son territoire [COM(2013) 847 du 27.1 1.2013], citee au point 29 des 
presentes observations. 


Annexe 3 : 


Communication de la Commission au Parlement europeen et au Conseil, Retablir la con fiance 
dans les flux de donnees entre l’Union europeenne et les Etats-Unis d’Amerique 
[COM(20 13)846 du 27.1 1.2013], citee aux points 29 et 30 des presentes observations. 



